بيانات الموظفين ونظام حماية البيانات الشخصية: ما الذي تغيّر للموارد البشرية؟

من فترة السماح إلى التطبيق

دخل نظام حماية البيانات الشخصية حيز التنفيذ في سبتمبر 2023، مع فترة سماح انتقالية كان يُتوقع خلالها أن تواءم الجهات ممارساتها وسياساتها وأنظمتها مع متطلبات النظام ولوائحه، وانتهت هذه الفترة في سبتمبر 2024 1A&O Shearman (تحليل قانوني)، يناير 2026. ومنذ ذلك الحين أصبحت آليات التطبيق تُمارس فعلياً.

وفي يونيو 2026 أعلنت الهيئة السعودية للبيانات والذكاء الاصطناعي «سدايا» أن لجان النظر في المخالفات أصدرت عدداً من القرارات تضمنت غرامات مالية وإنذارات، بموجب المادة السادسة والثلاثين من النظام 2عكاظ، يونيو 2026. ونشرت صحيفة المدينة الخبر نفسه بتفاصيله 3المدينة، يونيو 2026.

ما المخالفات التي عوقبت عليها الجهات؟

بحسب ما أعلنته «سدايا»، شملت أبرز المخالفات 2عكاظ، يونيو 2026:

• معالجة البيانات الشخصية لأغراض التسويق المباشر دون موافقة صريحة من صاحب البيانات.
• عدم تبني الوسائل التقنية والإدارية والتنظيمية التي تضمن سرعة الاستجابة لطلبات أصحاب البيانات.
• عدم إشعار الهيئة بحوادث تسرب البيانات الشخصية خلال المدة النظامية المحددة بـ72 ساعة من تاريخ العلم بالحادثة 2عكاظ، يونيو 2026.
• عدم اتخاذ الإجراءات الكفيلة بالمحافظة على البيانات الشخصية.
• عدم تعيين مسؤول لحماية البيانات الشخصية رغم انطباق حالات تعيينه.

وكل بند من هذه البنود له مقابل مباشر في عمل الموارد البشرية.

ما الذي يعنيه ذلك لبيانات الموظفين؟

طلبات الموظفين

للموظف بصفته صاحب بيانات حقوق تجاه بياناته. والمخالفة التي عوقبت عليها جهات هي غياب الوسائل التي تضمن سرعة الاستجابة لطلبات أصحاب البيانات 2عكاظ، يونيو 2026. لذلك تحتاج الموارد البشرية إلى قناة واضحة لاستقبال طلبات الموظفين المتعلقة ببياناتهم، وإجراء موثق للرد عليها، ومسؤول محدد عن متابعتها.

حوادث التسرب

ملف رواتب أُرسل إلى بريد خاطئ، أو جدول بيانات موظفين نُشر في مجلد مشترك، أو جهاز مفقود يحمل نسخاً من الهويات: كلها حوادث محتملة. والمدة النظامية لإشعار الهيئة 72 ساعة من تاريخ العلم بالحادثة 2عكاظ، يونيو 2026، وهي مدة قصيرة لا تكفي لابتكار إجراء من الصفر. يجب أن يكون الإجراء مكتوباً ومجرباً قبل وقوع أي حادثة.

مسؤول حماية البيانات

عدم تعيين مسؤول لحماية البيانات رغم انطباق حالات تعيينه كان من المخالفات المعلنة 2عكاظ، يونيو 2026. تحتاج المنشأة إلى التحقق مع مستشارها القانوني مما إذا كانت هذه الحالات تنطبق عليها، وإلى توضيح العلاقة بين هذا المسؤول وإدارة الموارد البشرية.

مزودو الخدمات

أنظمة الرواتب، والتأمين الطبي، وبرامج المزايا، ومنصات التوظيف: كلها جهات تعالج بيانات الموظفين نيابة عن المنشأة. راجعوا العقود معها، وتأكدوا من وضوح الأدوار والضمانات.

مبدأ التجميع في برامج الموظفين

عند إطلاق أي برنامج للموظفين، كبرامج العافية المالية أو استبيانات الرضا، فإن أسلم تصميم هو أن ترى الإدارة مؤشرات مجمّعة ومجهولة الهوية فقط، وأن تُخفى المجموعات الصغيرة التي قد تكشف أفراداً بعينهم. هذا لا يقلل المخاطر النظامية فحسب، بل يرفع ثقة الموظفين ومشاركتهم في البرنامج.

حجم العقوبات المحتملة

بحسب تحليل A&O Shearman، تملك اللجان صلاحيات تحقيق واسعة، منها طلب المعلومات والمستندات، وتملك فرض إنذارات وغرامات مالية تصل إلى 5 ملايين ريال لكل مخالفة، مع إمكانية مضاعفة العقوبة عند التكرار، دون الإخلال بأي مسؤولية جنائية أو مدنية أخرى 1A&O Shearman (تحليل قانوني)، يناير 2026.

خطوات عملية للأشهر القادمة

• إعداد جرد لبيانات الموظفين وأغراض معالجتها.
• كتابة إجراء الاستجابة لحوادث التسرب وتجربته.
• تحديد قناة ومسؤول لطلبات الموظفين المتعلقة ببياناتهم.
• مراجعة عقود مزودي الخدمات الذين يعالجون بيانات الموظفين.
• تقليل الوصول إلى الملفات الحساسة على قدر الحاجة.
• مراجعة برامج الموظفين بحيث تعرض نتائج مجمّعة فقط.

ولا يلزم إنجاز هذه الخطوات كلها دفعة واحدة. ابدؤوا بالجرد وإجراء الاستجابة للتسرب لأنهما الأساس الذي تُبنى عليه بقية الخطوات، ثم حددوا لكل خطوة مالكاً وموعداً، وراجعوا التقدم مع الإدارة العليا بانتظام حتى يبقى الملف حاضراً في الأولويات.

تنبيه

هذا الدليل شرح عام مبني على ما نشرته المصادر المذكورة، ولا يغني عن مراجعة النظام ولوائحه التنفيذية وإرشادات «سدايا»، ولا عن استشارة قانونية متخصصة لحالة منشأتكم.